Auditoría de fiabilidad y seguridad de vuestra plataforma
Riesgos priorizados y un plan de mejora en 1-2 semanas. Para saber dónde estáis antes de que os lo pregunte un cliente, un auditor o una caída.
Herramientas habituales
- Graylog
- MongoDB
- MySQL
- SonarQube
- Wazuh
- WireGuard
En resumen
Una auditoría de fiabilidad y seguridad es una revisión técnica de vuestra plataforma para encontrar lo que puede provocar una caída, una pérdida de datos o un acceso indebido. Revisamos accesos, copias, despliegues, vulnerabilidades, monitorización, exposición a internet y recuperación ante desastres. Desde 1.500 € (precio orientativo, sin IVA), con precio cerrado antes de empezar, entregada en 1-2 semanas, e incluye un informe con plan de mejora priorizado.
- Idiomas
- Español, catalán o inglés
- Respuesta
- El siguiente día hábil, en horario laboral
- Método
- En vuestra cuenta y vuestro repositorio, en código y documentado
Qué incluye
- Revisión de identidades y accesos: quién entra, con qué permisos y si hay doble factor.
- Copias y recuperación: qué se copia, dónde y una restauración de prueba.
- Exposición a internet: puertos, paneles, buckets y certificados.
- Despliegues, secretos y cadena de suministro de imágenes.
- Monitorización, alertas y registro de auditoría.
- Informe con riesgos priorizados, evidencia, recomendación y esfuerzo (S, M o L).
- Plan de mejora priorizado y sesión para explicarlo al equipo.
- Precio cerrado antes de empezar y entrega en 1-2 semanas.
- Respuestas de apoyo para cuestionarios de seguridad de clientes.
¿Cuándo conviene una auditoría?
Antes de que el problema la haga obligatoria. Los momentos en los que más nos la piden:
- Un cliente grande os envía un cuestionario de seguridad o pide ISO 27001, ENS o NIS2.
- Ha habido una caída o un susto y queréis saber qué más puede fallar.
- Se ha ido la persona que montó la plataforma y nadie conoce el estado real.
- Vais a levantar una ronda de inversión o vender la empresa y toca revisión técnica.
- Lleváis años creciendo sin revisar accesos, copias ni exposición.
¿Qué revisamos?
La auditoría cubre siete áreas. En cada una buscamos lo mismo: qué puede fallar, qué evidencia lo demuestra y cuánto cuesta arreglarlo.
| Área | Qué revisamos | Evidencia que os entregamos |
|---|---|---|
| Identidades y accesos | Usuarios, roles, claves antiguas, doble factor, cuentas compartidas | Lista de accesos con riesgo y propuesta de permisos mínimos |
| Copias y recuperación | Qué se copia, frecuencia, inmutabilidad y restauración real | Resultado de una restauración de prueba con tiempos |
| Exposición a internet | Puertos, paneles, almacenamiento público, certificados | Inventario de lo expuesto y de lo que no debería estarlo |
| Despliegues y secretos | Pipelines, secretos en el código, permisos del CI | Ubicación de cada secreto expuesto y plan de rotación |
| Imágenes y dependencias | Origen de las imágenes, versiones sin soporte, escaneo | Imágenes y componentes con vulnerabilidades conocidas |
| Observabilidad | Alertas, registro de auditoría, retención | Qué incidentes no se detectarían hoy |
| Continuidad | Puntos únicos de fallo, plan ante desastres | Tiempo estimado de recuperación por servicio |
¿Cómo es el informe?
Cada riesgo va con su prioridad, la evidencia que lo demuestra, la recomendación concreta y el esfuerzo estimado: S (horas), M (días) o L (semanas). Así podéis decidir qué cerrar primero y qué asumir. El informe termina con un plan de mejora priorizado. Podéis ver el formato en el extracto de auditoría de ejemplo, con datos ficticios.
¿Cómo se hace?
Alcance
Qué entornos, cuentas y aplicaciones entran, y qué marco os interesa (ISO 27001, ENS, NIS2 o ninguno). Precio cerrado antes de empezar.
Accesos de lectura
Usuario nominal, de solo lectura y con fecha de caducidad.
Revisión
Las siete áreas, con una restauración de prueba de las copias.
Informe y sesión
Riesgos priorizados, plan de mejora y una sesión con vuestro equipo para resolver dudas. En 1-2 semanas desde el inicio.
Al terminar retiramos nuestros accesos y os lo confirmamos por escrito. Si queréis que cerremos nosotros los riesgos, se puede hacer como proyecto, con unas jornadas de SRE por días dentro de vuestro equipo o dentro del SRE como servicio.
¿Qué experiencia hay detrás?
Quien hace la auditoría ha auditado infraestructuras de otras empresas y montado bases seguras en la nube, y como CTO y director de ingeniería ha sido responsable de la seguridad y la disponibilidad de plataformas en producción. Por eso el informe separa los controles que de verdad reducen riesgo de los que solo producen papel.
Preguntas frecuentes
¿Es una certificación ISO 27001 o ENS?
No. No somos entidad certificadora. La auditoría os dice en qué punto está vuestra plataforma frente a los controles técnicos que suelen pedir ISO 27001, ENS o NIS2, y qué hacer para cerrarlos, con evidencias que luego sirven en la certificación.
¿Necesitáis acceso a producción?
Acceso de solo lectura, nominal y temporal, a la cuenta cloud y a los repositorios. Si vuestras políticas no lo permiten, trabajamos con exportaciones y sesiones guiadas con vuestro equipo.
¿Hacéis pruebas de intrusión?
No es una prueba de intrusión. Revisamos configuración, procesos y arquitectura. Si necesitáis una prueba de intrusión, os recomendamos encargarla a un equipo especializado y os ayudamos a preparar el alcance.
¿Cuánto tarda?
Se entrega en 1-2 semanas, según el número de entornos y servicios, e incluye un informe con plan de mejora priorizado. Antes hay una llamada gratuita de 20 minutos para fijar el alcance y el precio cerrado.
Contadnos vuestro caso
En una llamada gratuita de 20 minutos vemos dónde estáis y por dónde empezar. Sin compromiso.
Revisado el